ID bollettino: 2026-015-AWS
Ambito: AWS
Tipo di contenuto: importante
Data di pubblicazione: 7/04/2026 3:30 PST

Descrizione:

Firecracker è una tecnologia di virtualizzazione open source ideata appositamente per la creazione e la gestione di container multi-tenant sicuri e servizi basati su funzioni.

Abbiamo identificato la vulnerabilità CVE-2026-5747, un problema di scrittura oltre i limiti nel trasporto virtio PCI in Firecracker, dalla versione 1.13.0 alla 1.14.3 e 1.15.0 su x86_64 and aarch64, che potrebbe consentire a un utente guest locale con privilegi di root di bloccare il processo Firecracker VMM o potenzialmente eseguire codice arbitrario sull’host tramite la modifica dei registri di configurazione della coda virtio dopo l’attivazione del dispositivo. L’esecuzione del codice sull’host richiede prerequisiti aggiuntivi, come l’uso di un guest kernel personalizzato o di configurazioni specifiche degli snapshot.

Nessun servizio AWS ne è stato interessato.

Versioni interessate: Firecracker >= 1.13.0 E <= 1.14.3 E 1.15.0

Risoluzione:

questo problema è stato risolto nelle versioni di Firecracker 1.14.4 e 1.15.1. Per incorporare le nuove correzioni, consigliamo di eseguire l’aggiornamento alla versione più recente e di assicurarsi che siano state applicate le patch a qualsiasi codice derivato o di cui è stato eseguito il fork.

Soluzioni alternative
Il trasporto virtio PCI viene abilitato tramite il flag della riga di comando --enable-pci all’avvio di Firecracker. Il trasporto MMIO precedente è l’impostazione predefinita e non è interessato da questo problema. Gli utenti che hanno abilitato il trasporto PCI possono tornare a MMIO rimuovendo il flag --enable-pci dalla loro invocazione di Firecracker. Si noti che il passaggio dal trasporto PCI al MMIO può comportare una riduzione del throughput I/O e un aumento della latenza.

Riferimenti
CVE-2026-5747
GHSA-776c-mpj7-jm3r

Ringraziamenti
Ringraziamo Anthropic per aver segnalato questo problema al Programma di divulgazione delle vulnerabilità di AWS.

 

Per eventuali domande o dubbi sulla sicurezza, invia un’e-mail all’indirizzo aws-security@amazon.com.